خرق بيانات DriveSure

تشمل أنواع البيانات التي جرى التحقق منها عناوين البريد الإلكتروني والأسماء وأرقام الهواتف والعناوين الفعلية ومعلومات المركبات وعددًا محدودًا من تجزئات كلمات المرور. ويُقصد بمعلومات المركبة علامتها التجارية وطرازها ورقم VIN، وفي بعض السجلات، تفاصيل تتعلق بالمسافة المقطوعة أو الصيانة. يمكن لرقم VIN وسجل المركبة أن يربطا الشخص مباشرة بمركبة يملكها أو يستخدمها. وقد تُستخدم هذه المعلومات لإضفاء المصداقية على رسائل تتعلق بالتأمين أو الصيانة أو الضمان أو الاستدعاءات أو سجلات الأضرار، أو على رسائل احتيالية بشأن بيع المركبات وشرائها.

التمييز الأهم في حقل كلمة المرور هو ما إذا كانت البيانات موصوفة بأنها كلمة مرور بنص صريح أم تجزئة لكلمة مرور باستخدام bcrypt. تجعل Bcrypt قراءة كلمات المرور مباشرة أمرًا صعبًا؛ لكنها لا تزيل الخطر تمامًا إذا كانت كلمات المرور ضعيفة أو مُعاد استخدامها. ويتيح الجمع بين العنوان ورقم الهاتف ومعلومات المركبة تكوين ملف مفصل يمكن استغلاله في التصيد الاحتيالي والاحتيال عبر الهاتف. فقد يستغل المهاجم معرفته بالعلامة التجارية لمركبتك أو بسجل صيانتها لإعداد عروض وهمية لتمديد الضمان أو خصومات الصيانة أو تجديد التأمين، أو إشعارات مزيفة بشأن سلامة المركبة.

تاريخ الحادثة الذي جرى التحقق منه والمدوّن في السجل هو 19 ديسمبر 2020. اكتُشف الوصول غير المصرح به في ديسمبر 2020، واتضح في يناير 2021 أن محاولة جرت لبيع البيانات لجهات غير مخوّلة. يضم السجل 3,675,099 عنوان بريد إلكتروني فريدًا. وقد تذكر بعض التقارير الإخبارية نحو 3.2 مليون أو 3.7 مليون شخص؛ ويرجع هذا الاختلاف إلى تفاوت طرق احتساب عدد الصفوف وعدد عناوين البريد الإلكتروني الفريدة، وإلى استخدام أرقام مقربة. والعدد الأساسي المعتمد في هذا السجل هو عدد عناوين البريد الإلكتروني الفريدة.

لا ينبغي توسيع نطاق الحادثة. فقد أشار بيان الشركة إلى أن الجهة غير المخوّلة لم تتمكن من الوصول إلى معلومات يمكن استخدامها لفتح حساب ائتماني؛ كما لا يدرج هذا السجل أرقام بطاقات الائتمان أو الحسابات المصرفية أو وثائق الهوية الرسمية ضمن فئات البيانات. ومع ذلك، فإن الاسم والعنوان ورقم الهاتف والبريد الإلكتروني ورقم VIN وتفاصيل المركبة معلومات قيّمة لأساليب احتيال أخرى غير سرقة الهوية. ولأن عدد تجزئات كلمات المرور قليل، لا تتساوى مخاطر كلمات المرور في جميع السجلات؛ لكن لا ينبغي إغفال احتمال استخدام كلمة المرور نفسها في خدمات أخرى.

الفئة الأكثر عرضة للخطر هي العملاء الذين يشترون مركبات من وكالات تستخدم DriveSure، أو يتلقون خدمات صيانة فيها، أو يُدرجون في برنامج الصيانة أو الولاء. وقد لا يكون هؤلاء قد رأوا اسم DriveSure من قبل؛ إذ ربما أُنشئ تسجيلهم من خلال خدمات الوكالة. وقد يتعرض للخطر أيضًا المالكون السابقون للمركبات، ومشترو المركبات المستعملة، والعملاء الذين تُتابَع ضماناتهم، والمشاركون في بعض حملات الصيانة. وتتيح معلومات المركبة للمهاجمين صياغة سيناريوهات أكثر إقناعًا تتمحور حول المركبة، بدلًا من هجمات التصيد العامة.

حتى بالنسبة إلى الأشخاص الذين لم تعد عناوينهم وأرقام هواتفهم محدّثة، لا يزول الخطر تمامًا. إذ يمكن ربط العناوين القديمة بمساكن سابقة أو بملكية سابقة لمركبة أو بسجل الصيانة. وعند الجمع بينها وبين عنوان بريد إلكتروني حالي، قد تجعل معلومات المركبة القديمة المستخدم هدفًا لرسائل مزيفة بشأن الضمان أو الصيانة أو الاستدعاءات أو التأمين. وتواجه الفئة الصغيرة التي تتضمن سجلاتها تجزئات كلمات مرور خطرًا إضافيًا، هو احتمال تجربة كلمة المرور نفسها على حسابات أخرى. لذلك، ينبغي الانتباه إلى تبعات تسريب بيانات DriveSure من حيث الاحتيال في خدمات السيارات وأمان الحساب معًا.

ينبغي توخي الحذر من رسائل البريد الإلكتروني والمكالمات الهاتفية غير المتوقعة المتعلقة بـ DriveSure أو وكالات بيع السيارات أو الضمانات أو مواعيد الصيانة أو تجديد التأمين. ولا ينبغي افتراض أن المتصل موثوق لمجرد معرفته بالعلامة التجارية للمركبة أو طرازها أو رقم VIN. ينبغي التوقف عن الاستجابة لأي طلب للدفع أو تقديم معلومات البطاقة أو رموز تُستخدم مرة واحدة أو تفاصيل الحساب المصرفي أو وثائق الهوية، والتواصل مباشرة مع الوكالة أو جهة الخدمة المعنية عبر أرقام هاتف معروفة. ولا ينبغي حجز المواعيد أو إجراء معاملات تجديد الضمان عبر روابط مشبوهة.

إذا كنت تعرف كلمة المرور المستخدمة في حساب DriveSure أو حساب الوكالة المعنية، فينبغي تغييرها. وإذا استُخدمت كلمة المرور نفسها في حسابات أخرى لخدمات السيارات أو التأمين أو البريد الإلكتروني أو التسوق، فينبغي تخصيص كلمة مرور فريدة لكل حساب منها أيضًا. وينبغي تأمين حساب البريد الإلكتروني جيدًا، وتفعيل المصادقة الثنائية، وتحديث خيارات استرداد الحساب. كما ينبغي مراجعة الوثائق المتعلقة بالمركبة وسجلات الصيانة ورسائل التأمين بانتظام، والتحقق من أي مدفوعات غير معروفة مقابل الضمان أو الصيانة. وتساعد مرشحات المكالمات المزعجة وقواعد البريد الإلكتروني أيضًا على تقليل مخاطر الهندسة الاجتماعية.

على المدى الطويل، ينبغي الاستفسار عن خدمات الجهات الخارجية التي يمكنها الوصول إلى البيانات أثناء شراء المركبات وصيانتها. وينبغي إلغاء الموافقات التسويقية غير الضرورية لدى الوكالات، وتحديث معلومات المركبات والعناوين القديمة أو حذفها إن أمكن. وقد يساعد استخدام عنوان بريد إلكتروني منفصل للتواصل في خدمات السيارات بدلًا من العنوان الرئيسي على تقليل أثر التسريبات في الحسابات الرئيسية. ولا ينبغي مشاركة الوثائق الحساسة ومعلومات رقم VIN المتعلقة بالمركبة على الملفات الشخصية العامة؛ إذ يمكن استغلال هذه المعلومات في رسائل مزيفة بشأن الصيانة والتأمين.

أما على مستوى الشركات، فتُظهر حادثة DriveSure ضرورة حماية بيانات العملاء التي تحتفظ بها الجهات ضمن سلسلة الوكالات ومزوّدي الخدمات. فمعلومات المركبة ليست مجرد سجل تقني؛ بل هي بيانات شخصية تربط الشخص بعنوانه الفعلي وسجل صيانته وسلوكه الشرائي. وينبغي تقصير فترات الاحتفاظ بالبيانات، وتنظيف سجلات العملاء القديمة، ومراقبة عمليات تصدير البيانات بكميات كبيرة، وتقييد وصول المورّدين. كما ينبغي حماية تجزئات كلمات المرور بأساليب قوية، وإخطار العملاء بوضوح وفي الوقت المناسب.

إذا ظهر لك تطابق في هذا السجل، فقد يكون عنوان بريدك الإلكتروني قد وُجد ضمن 3,675,099 عنوان بريد إلكتروني فريدًا مرتبطًا بحادثة تسريب بيانات DriveSure. ولا يعني التطابق بالضرورة أنك فتحت حسابًا لدى DriveSure مباشرة؛ فقد تكون معلوماتك دخلت نظام DriveSure من خلال علاقة مع وكالة لبيع السيارات أو جهة تقدم خدمات الصيانة. لذلك، عليك مراجعة سجل مركباتك وتعاملاتك السابقة مع الوكالات وعنوان البريد الإلكتروني المعني معًا. ورغم أن خطر تجزئات كلمات المرور يخص عددًا محدودًا من السجلات، ينبغي تغيير كلمات المرور المُعاد استخدامها.

يمكن استغلال الجمع بين العنوان ورقم الهاتف والبريد الإلكتروني ومعلومات المركبة لإضفاء قدر كبير من المصداقية على رسائل الاحتيال. تحقّق مباشرة عبر قناة التواصل الرسمية للجهة المعنية من أي عروض غير متوقعة تتعلق بصيانة مركبتك أو ضمانها أو تأمينها. فحتى إذا لم تكن البيانات المالية كافية لفتح حساب ائتماني، يظل خطر التصيد والاحتيال المرتبط بالمركبات قائمًا. ولا تقتصر الاستجابة الصحيحة لتسريب بيانات DriveSure على تغيير كلمة المرور؛ بل تشمل أيضًا مراعاة احتمال إساءة استخدام معلومات المركبة والعنوان وبيانات الاتصال على المدى الطويل.